Reintroduction to AWS Multiple Account Management

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © Tetsuya Shibao #jawsugkmmt 自己紹介大分（22年） → 東京（11年） → 福岡（2年）→ 佐賀（現在）　柴尾　哲也（しばお　てつや） Tetsuya Shibao JAWS-UG佐賀 AWS Startup Community 福岡 JAWS-UG 佐賀運営 AWS Startup Community 運営（最近は... SAGA IT Community Day企画中 Coder Dojoさが（メンター） HAGAKURE PROGRAMMING塾 etc…

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Copyright © Tetsuya Shibao #jawsugkmmt AWS アカウントを複数管理していますか？アカウントを複数管理していますか？単一単一派派複数複数派派・複数アカウントを管理する手間やコストを抑えたい・複数アカウントを管理する手間やコストを抑えたい　・　・社員数が少なく、社員数が少なく、ITインフラ部門も兼任で行なっているスタートアップインフラ部門も兼任で行なっているスタートアップ　　・小規模の　　・小規模のWebサービスをサービスを1本だけ本だけ・個人が趣味や学習のために・個人が趣味や学習のためにAWSを利用しているを利用している　・複数アカウントを運用するほどもない（リソース作っては消しての繰り返し）　・複数アカウントを運用するほどもない（リソース作っては消しての繰り返し）・大規模なサービスで開発・ステージング・本番を完全に分離したい・大規模なサービスで開発・ステージング・本番を完全に分離したい・部門別、事業別などで予算管理・コスト配分を明確に行いたい・部門別、事業別などで予算管理・コスト配分を明確に行いたい・個人が趣味や学習のために・個人が趣味や学習のためにAWSを利用しているを利用している　・複数アカウントを運用するほどもない（リソース作っては消しての繰り返し）　・複数アカウントを運用するほどもない（リソース作っては消しての繰り返し）

Slide 6

Slide 6 text

Copyright © Tetsuya Shibao #jawsugkmmt AWSを複数アカウントは必要なのか（ここはあくまでも個人の意見です）・企業はControl Tower導入が最優先だと考えます　・利用できるリージョン制限を施す　　・請求書から逆算してリージョンにあるサービスを調査したことはありますか？　・ログアーカイブアカウントと監査アカウントが予めセットアップされる（Control Tower必須）　　・CloudTrailにも操作履歴が残らない操作をされたことがありますか？　・AWS Config, Security Hubを導入することで管理対象のアカウントの統制を施す・検証目的であろうとも最低限AWSアカウントは複数に分ける必要があると考えます　・あなたは初めてAWSにサインインして、「最終ログイン ◯◯◯（365 x n）日以上」のIAMアカウントを見たことはありますか？　　・今見ているAWSアカウントの中で作業が継続しているのかどうかも分からない　・「このIAM Userは使っていますか？」と聞いて、「うーん、どこかで使っている気がする」と聞いたことはありますか？・勉強で作ったAWSアカウントであっても可能な限り複数に分けて運用が望ましいと考えます　・クレジット（語弊がないように付け加えるとクーポン）は、支払いの管理アカウントにさえ登録すれば配下のアカウントに適用される　・勉強の過程で作成されたIAM Roleが気づかないうちに出来上がるケースがあり、管理が煩雑になる

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Copyright © Tetsuya Shibao #jawsugkmmt AWSの複数アカウントの管理・ AWS Organizations x AWS IAM Identity Center（旧Single-Sign On）で統制を施す・ SCPs（Service Control Policy）を使って主に制限を施す　・2024年11月にRCPs（Resource Control Policy）、12月のre:InventでDeclarative Policy：宣言的なポリシーが発表管理アカウント ou1 ou2 メンバアカウント１−１メンバアカウント２−１メンバアカウント１−２ users/groups

Slide 9

Slide 9 text

Copyright © Tetsuya Shibao #jawsugkmmt 実際に管理してみる・ IdP（ID管理基盤）は、トラストログインに限りません　・企業であればAzure Entra ID（旧Azure AD）やGoogle Workspaceを利用している場合はそちらをIdPとすることを推奨です　・トラストログインでAWS IAM Identity Centerと連携する手順は公開されています　　https://support.trustlogin.com/hc/ja/articles/4407845138713 ・AWS Organizationsは、グローバルサービスです・AWS IAM Identity Centerは、どこかの一つのRegionにインスタンス（無償）を起動する必要があるため指定が必要です　・特に問題がなければ、東京（ap-northeast-1）リージョンで大丈夫です

Slide 10

Slide 10 text

Copyright © Tetsuya Shibao #jawsugkmmt 実際に管理してみる・SCIM（System for Cross-domain Identity Management）対応していないIdPの場合は初回のみユーザ情報を作成する必要がある・Username = Email Address で作成すること（トラストログインの場合、IdPによるが大抵はEmail Addressがキーになるはず）

Slide 11

Slide 11 text

Copyright © Tetsuya Shibao #jawsugkmmt 実際に管理してみる・2024年11月に発表された Centrally manage root access for member accounts ・2025年01月時点で確認できるのは、S3 バケット、SQSキュー、パスワードリセットの許可パスワードリセットの許可に限られる https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_root-enable-root-access.html

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Copyright © Tetsuya Shibao #jawsugkmmt まとめ・AWSは複数アカウントで運用することを見越した構成が推奨です　・企業のセキュリティポリシーでも、本番環境と検証環境は分離を求められるケースもあるかと思います・AWS Organizationsを使うのであれば、AWS IAM Identity Center + 外部IdPを組み合わせて使うとアカウントの管理が煩雑にならないです　・Azure Entra IDは、オンデマンド or 40分ごとにSCIMで組み合わせて使えるのでとても楽です　・Google Workspaceは、変更検知して順次動くので若干管理の自由は効かないです　・トラストログインは、個人で利用する分にはいい体験になるかと思います　　・Azure Entra IDやGoogle Workspaceと比べて設定項目がシステムで隠されているので知識がなくても設定可能です・メンバアカウントのルートアカウントアクセスを制限できるようになったので、SCPs、RCPs、DPの組み合わせで幅が広がります・SCPsやRCPs、Decrative Policyについては、次回の福岡（2/8）で話すつもりです